DORA für Versicherungen: was anders ist als VAIT

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

DORA-Geltung für Versicherer

Art. 2 Abs. 1 DORA listet die erfassten Finanzunternehmen abschließend auf, Versicherungsunternehmen erscheinen unter:

• lit. e: Versicherungs- und Rückversicherungsunternehmen im Sinne von Solvency II (Richtlinie 2009/138/EG)
• lit. f: Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, soweit diese die Schwellenwerte der Verordnung überschreiten

Wichtig: Mikrobetriebe und kleine Versicherungsvermittler können nach Art. 16 DORA ein vereinfachtes Regime in Anspruch nehmen, sind aber nicht aus der Pflicht entlassen.

Was die VAIT regelte

Die VAIT folgt der gleichen Struktur wie die BAIT, angepasst an Versicherungs-Geschäftsmodelle. Acht Hauptbereiche:

1. IT-Strategie und IT-Governance
2. Informationsrisikomanagement mit Schutzbedarfsfeststellung
3. Informationssicherheitsmanagement
4. Operative Informationssicherheit
5. Identitäts- und Rechteverwaltung
6. Anwendungsentwicklung und Datenqualität (versicherungsspezifisch: Tarif- und Bestandsführungssysteme)
7. IT-Betrieb inklusive Notfallmanagement
8. Auslagerungen und sonstige Fremdbezüge

Die VAIT war detaillierter als BAIT in Bezug auf Datenqualität in Bestandsführungssystemen und in der Behandlung von Aktuariatsmodellen, beides versicherungsspezifische Themen.

Was DORA für Versicherer ändert

1. Drittanbieter-Risikomanagement neu strukturiert

Die VAIT regelte Auslagerungen in einem Kapitel, DORA macht aus diesem Kapitel ein eigenes Kapitel V (Art. 28-44) mit deutlich höherer Granularität:

• Register aller IKT-Drittanbieter (Art. 28 Abs. 3 DORA), inklusive Konzern-übergreifender Sicht
• Pflichtklauseln in IKT-Verträgen (Art. 30 DORA): Service-Beschreibung, Datenschutz, Audit-Rechte, Beendigungsstrategie, Compliance-Verpflichtungen
• Beendigungsstrategie als eigenständige Pflicht (Art. 28 Abs. 7 DORA)
• Aufsichtsregime für kritische IKT-Drittanbieter (Art. 31-44 DORA), ESAs können direkt gegenüber Cloud-Anbietern und vergleichbaren Dienstleistern aufsichtlich tätig werden

2. Incident-Reporting harmonisiert

Versicherer hatten unter VAIT bereits eine interne Meldepflicht, aber keine einheitlichen EU-Templates. DORA bringt:

• dreistufiges Meldeverfahren (Initial / Intermediate / Final Report)
• EBA-RTS-Klassifizierungsschwellwerte auch für Versicherer maßgeblich
• ESMA-/EIOPA-/EBA-Joint Templates für Meldungen an die BaFin

3. Resilience-Testing als Pflichtprogramm

DORA Art. 24-26 verlangt ein dokumentiertes Testprogramm mit:

• jährlichen Vulnerability Assessments
• regelmäßigen Penetrationstests
• Szenario-basierten Tests für kritische Funktionen
• für signifikante Versicherer: alle drei Jahre TLPT nach TIBER-EU

Welche Versicherer als "signifikant" eingestuft werden, entscheidet die BaFin nach den Joint-Committee-RTS. Faustregel: Große deutsche Versicherer mit europäischer Vernetzung und systemischer Bedeutung sind Kandidaten, kleinere Sach- und Lebensversicherer fallen in der Regel nicht darunter.

4. Governance: Leitungsorgan ist verantwortlich

Art. 5 Abs. 2 DORA macht das Leitungsorgan persönlich für das IKT-Risikomanagement verantwortlich. Bei Versicherern bedeutet das:

• Vorstand muss die IKT-Strategie genehmigen
• Vorstand muss regelmäßig (mindestens jährlich) zu IKT-Risiken geschult werden
• IKT-Risiken müssen ins Solvency-II-eigene Risikomanagement-System (RMS) integriert sein

EIOPA-Vorgaben für Versicherer

EIOPA ist die European Insurance and Occupational Pensions Authority. Für DORA-Implementierung bei Versicherern relevant:

• EIOPA Guidelines on ICT Security and Governance, gelten seit 2021, durch DORA in weiten Teilen substituiert, aber für Auslegung relevant
• EIOPA DORA Implementation Hub, Q&As, Templates, sektorale Konkretisierungen
• Joint Committee RTS und ITS: EIOPA arbeitet mit EBA und ESMA gemeinsam an den DORA-Konkretisierungen

EIOPA hat in Q&A-Form mehrfach klargestellt, dass DORA neben Solvency II gilt und keine der Solvency-II-Vorgaben verdrängt.

VAIT-Anteile, die weiterleben

Trotz DORA bleiben einige VAIT-Spezifika praxisrelevant:

• Datenqualitäts-Anforderungen in Bestandsführungssystemen, VAIT-Konkretisierungen werden zur DORA-Auslegung herangezogen
• Aktuariatsmodelle und ihre IT-seitige Absicherung, VAIT hat dafür spezifische Anforderungen, die DORA generisch fasst
• Schadensregulierungs-Systeme: VAIT enthält Anforderungen zur Integrität von Schadensbearbeitungs-Workflows, die in DORA Art. 8 nur abstrakt erscheinen

Mikrobetriebs-Regime nach Art. 16 DORA

Kleine Versicherungsvermittler können das vereinfachte Regime in Anspruch nehmen, wenn sie die in Art. 16 Abs. 1 DORA genannten Schwellenwerte unterschreiten:

• weniger als 10 Mitarbeitende, und
• weniger als 2 Mio. € Jahresumsatz und/oder Jahresbilanzsumme

Vereinfacht heißt: weniger granulare Dokumentationspflichten, kein vollumfängliches Incident-Reporting, kein dediziertes Drittanbieter-Register im Vollumfang. Die Pflichten zu IKT-Risikomanagement-Basis und Schwerwiegende-Vorfälle-Meldung bleiben aber bestehen.

Praxis-Sequenz für Versicherer

Für deutsche Versicherer empfiehlt sich folgende Reihenfolge:

1. DORA-Anwendbarkeit feststellen: Mikrobetriebs-Regime einschlägig? Sonst Vollanwendung
2. VAIT-DORA-Gap-Analyse: Vorhandene VAIT-Dokumentation gegen DORA-Artikel mappen
3. IKT-Drittanbieter-Register aufbauen: Vorrangig kritische Anbieter (Bestandsführungs-Dienstleister, Cloud-Provider, Schadens-Outsourcing)
4. Vertragsklauseln in IKT-Verträgen anpassen: Standardklauseln für Art. 30 DORA, ggf. Nachtragsverhandlung mit Bestandsdienstleistern
5. Incident-Reporting-Prozess auf DORA-Format umstellen: ESMA-Templates, EBA-Klassifizierungsschwellwerte, BaFin-MVP-Plattform-Zugang
6. Resilience-Test-Programm dokumentieren: jährliche Tests, Penetration-Tests, Szenarien
7. TLPT-Status klären (bei Signifikanz-Andeutung von BaFin)

Versicherungs-spezifische Praxis-Themen

Versicherungs-Bestandsführungs-Systeme

Die Versicherer-IT lebt in starkem Maße von Bestandsführungs-Systemen, Schadens-Plattformen und Aktuariats-Tools. Unter DORA müssen diese Systeme:

• als kritische oder wichtige Funktionen klassifiziert sein
• in der Risiko-Analyse mit Schutzbedarf, Kritikalität und Verfügbarkeits-Anforderungen abgebildet sein
• bei Auslagerung den vollen Art. 30 DORA-Klausel-Satz im Vertrag haben (Audit-Rechte, Beendigungs-Strategie, Datenrückführung)

Aktuariats-Modelle

Aktuariats-Modelle fallen unter Art. 8 DORA (Integrität informationsverarbeitender Systeme). VAIT-spezifische Anforderungen an Modell-Validierung und Daten-Qualität bleiben relevant. Die Solvency-II-Modell-Validierung ist davon zu unterscheiden, beide Themen müssen parallel beachtet werden.

Schadens-Bearbeitung über externe Dienstleister

Viele Versicherer lagern Schadens-Regulierung an Service-Provider aus (Sachverständige, Reparatur-Netzwerke, medizinische Begutachter). Diese unterliegen Art. 28-30 DORA, sofern die IKT-Komponente der Service-Erbringung wesentlich ist. Ein reiner Sachverständigen-Bericht in Papierform ist kein IKT-Vertrag; ein Schadens-Bearbeitungs-System mit API-Anbindung jedoch schon.

FAQ

Gilt DORA auch für kleine Versicherungsvermittler?

Ja, aber Mikrobetriebe nach Art. 16 DORA (< 10 Mitarbeitende, < 2 Mio. € Umsatz / Bilanzsumme) können ein vereinfachtes Regime in Anspruch nehmen. Vermittler in Nebentätigkeit unterhalb bestimmter Schwellen können ganz ausgenommen sein, die genaue Abgrenzung ergibt sich aus Art. 2 Abs. 3 DORA in Verbindung mit der nationalen Umsetzung.

Wie verhält sich DORA zu Solvency II?

DORA ist eine eigenständige Verordnung mit eigenem Anwendungsbereich. Die Solvency-II-Anforderungen zum Risikomanagement (insbesondere Art. 44, ORSA) bleiben bestehen, IKT-Risiken sind dort als Teil des operativen Risikos zu adressieren. DORA konkretisiert die IKT-spezifischen Pflichten, ohne Solvency II zu ersetzen.

Brauche ich als Versicherer ein TLPT?

Nur, wenn die BaFin Ihr Unternehmen nach den Joint-Committee-RTS als signifikant einstuft. Das geschieht durch direkte Mitteilung der Aufsicht. Faustregel: Die Top-Versicherer in Deutschland (Allianz, Munich Re, Talanx, R+V, Generali Deutschland etc.) sind Kandidaten, kleinere und spezialisierte Versicherer in der Regel nicht.

Muss ich VAIT-Dokumente komplett umschreiben?

In den meisten Fällen nicht. Bestehende VAIT-konforme Dokumentationen erfüllen meist große Teile der DORA-Anforderungen. Ergänzt werden müssen: das Drittanbieter-Register, DORA-konforme Vertragsklauseln, ein EBA-konformer Incident-Klassifizierungsprozess und gegebenenfalls die TLPT-Vorbereitung.

Wer ist meine Aufsichtsbehörde für DORA?

In Deutschland die BaFin, wie bisher für Solvency II und VAIT. Bei kritischen IKT-Drittanbietern können die European Supervisory Authorities (ESAs) als Lead Overseer direkt aufsichtlich tätig werden (Art. 31-44 DORA), das betrifft aber den Dienstleister, nicht den Versicherer als Adressaten.